sh99 - stock.adobe.com
BSI-konformes Netzwerk: Router und Switches absichern
Router und Switches gehören zu den kritischsten Komponenten eines Netzwerks. Der BSI-IT-Grundschutz definiert, welche Sicherheitsmaßnahmen für diese Komponenten erforderlich sind.
Für den Betrieb eines Unternehmensnetzes gibt es kaum eine wichtigere Komponenten als Router und Switches. Sie leiten den Datenverkehr weiter und bilden die Grundlage für nahezu alle digitalen Geschäftsprozesse. Gleichzeitig stellen sie ein attraktives Angriffsziel dar.
In diesem vierten Teil der Artikelserie zu BSI IT-Grundschutz und Netzwerken beschäftigen wir uns mit Gefährdungen und Anforderungen in Bezug auf Router und Switches. Diese werden im Baustein NET.3.1 beschrieben und bilden die zentralen Dreh- und Angelpunkte in IT-Netzwerken. Ohne sie ist eine korrekte und zeitnahe Weiterleitung von Datenpaketen nicht möglich. Im Falle eines Ausfalls droht der komplette digitale Stillstand der Organisation.
Switches arbeiten auf OSI-Schicht 2 (zwischen Quell- und Zielhost), also im Ethernet-Kontext auf der Schicht, auf der sich auch die MAC-Adressierung befindet. Router arbeiten auf Schicht 3 (zwischen Quell- und Zielnetz), routen also klassisch IPv4 und IPv6. Inzwischen beinhalten jedoch viele Switches Layer-3-Funktionalitäten, weshalb der Baustein kombiniert ist.
Er enthält herstellerunabhängige Anforderungen und keine konkrete Parametrisierung. Zudem deckt er keine virtuellen Router und Switches, sowie keine integrierten Firewall-Funktionalitäten ab. Für einen sicheren Betrieb der Komponenten sind jedoch noch ergänzende Bausteine zu beachten, wie ORP.4 zu Identitäts- und Berechtigungsmanagement, OPS.1.1.3 mit Patch- und Änderungsmanagement, CON.3 zu Datensicherungskonzepten sowie OPS.1.1.2 um einen ordnungsgemäße IT-Administration zu berücksichtigen.
Gefährdungen
Auch im Bereich der Router und Switches gibt es diverse Gefährdungen. Dies beginnt zunächst bei trivialen Themen, wie unsicheren Werkseinstellungen und eine fehlende oder fehlerhafte Anpassung. Zudem kann es bei fehlerhafter Planung zu Fehlern in der Dimensionierung kommen, also beispielsweise die Anzahl der Ports, die PoE-Leistung (je Port oder gesamt), sowie einzelne Leistungsmerkmale unzureichend sein. Ein weiteres Thema sind inkompatible aktive Netzwerkkomponenten, beispielsweise wenn es Kompatibilitätsprobleme beim Einsatz verschiedener Hersteller gibt. Unterschiedliche Implementierungen desselben Protokolls können zu Instabilitäten und Ausfällen von Teilbereichen oder ganzen Netzen führen, wenn sie gemeinsam in einem Netz betrieben werden.
Weitere Gefährdungen entstehen durch Manipulationen, wie beispielsweise MAC-Flooding auf Switches. Dabei führen massenhaft illegitime Frames mit jeweils gefaketen Quell-MAC-Adressen dazu, dass MAC-Adresstabellen überlaufen. Ohne geeignete Schutzmechanismen kann der Switch unbekannte Unicast-Frames an mehrere Ports weiterleiten (Unknown-Unicast Flooding). Dadurch könnten Angreifer Datenverkehr mitlesen. Moderne Enterprise-Switches bieten jedoch häufig Schutzmechanismen wie Port Security, MAC-Limits oder Storm Control, die dieses Verhalten verhindern oder begrenzen.
Ähnlich können auch ARP-Spoofing- beziehungsweise ARP-Poisoning-Angriffe unter Verwendung gefälschter GARP-Nachrichten (Gratuitous ARP) ablaufen ablaufen. Gefälschte GARP-Nachrichten werden dabei gezielt an einzelne Hosts oder ein ganzes Netz mit Zuordnung der Angreifer-MAC-Adresse zu einer Opfer IP-Adresse gesendet. In Folge leiten andere Hosts in diesem Netz jegliche Unicast-Nachrichten, die eigentlich zum Opfer gehen sollen, an den Angreifer weiter. Dieser kann in Folge Daten des Opfers mitschneiden oder manipulieren.
Eine weitere Gefährdung geswitchter Netze sind Spanning-Tree-Angriffe. Dabei führen gefälschte Bridge Protocol Data Units (BPDUs) dazu, dass ein Angreifer zur Root Bridge wird und in Folge alle Daten mitschneiden, manipulieren oder blockieren kann. Massenhafte BPDUs können zudem zum Neuaufbau der Spanning-Tree-Topologie führen, wodurch das Netz zeitweise ausfallen kann.
In den vergangenen Jahren haben zudem verteilte Überlastungsangriffe, also DDoS-Attacken zugenommen. Dabei können insbesondere Router sowie Layer-3-Switches beispielsweise durch TCP-SYN-Floods, also massenhafte illegitime Verbindungsanfragen ohne finalen Aufbau, oder UDP-Floods mit massenhaft UDP-Datenströmen aus unterschiedlichen Quellen überlastet werden und dadurch zu Downtime führen. Klassische Layer-2-Switches sind dagegen eher durch Broadcast-, Multicast- oder MAC-Flooding-Angriffe betroffen.
Basisanforderungen
Nun stellt sich jedoch die Frage, was man bei welchen Anforderungen berücksichtigen muss. Dies beginnt bei einer sicheren Konfiguration mit Systemhärtung, also das nur zwingend erforderliche Dienste, Protokolle und funktionale Erweiterungen auf Routern und Switches aktiv sind, um die Angriffsfläche zu reduzieren. So sollten beispielsweise Telnet oder – sofern im jeweiligen Einsatzszenario nicht erforderlich – LLDP sowie nicht benötigte DHCP-Dienste deaktiviert sein. Zudem sollten alle Konfigurationsänderungen nachvollziehbar und dokumentiert und die Integrität der Konfiguration sichergestellt sein. Eine unerwartete Abweichung kann beispielsweise durch einen sogenannten Config Drift von einem Management-System an den Systemverantwortlichen gemeldet werden. Bevor auf dem Gerät Zugangsdaten hinterlegt werden, sollte zudem eine lokale Verschlüsselung aktiv sein, damit die Credentials nicht im Klartext ausgelesen werden können.
Nicht genutzte Schnittstellen sollten deaktiviert oder mindestens in ein nicht genutztes VLAN konfiguriert werden. Zudem sollten keine Konfigurationen nach außen dringen. Die Administrationsschnittstellen dürfen nur über Allowlistings freigegebene IP-Adressen und nicht aus nicht vertrauenswürdigen Netzen, wie dem Internet erreichbar sein. Zudem sind nur verschlüsselte Protokolle zu verwenden. Für Systeme mit höheren Sicherheitsanforderungen empfiehlt sich zusätzlich ein Out-of-Band-Management. Des Weiteren muss eine Zeitbeschränkung der Administration oder entsprechende Timeouts bei Inaktivität in der Konfiguration hinterlegt sein. Dies kann meist recht trivial umgesetzt werden. Das Managementnetz muss der Systemverantwortliche über eine separate Firewall absichern. Dabei ist jedoch zu beachten, dass der Administrator einen lokaler Notfallzugriff für die Administration auch bei Ausfall des Netzes haben muss, wie beispielsweise über einen Konsolen-Port. Hier scheitern in einigen Fällen bereits einige Komponenten. Router und Switche müssen zudem vor Fragmentierungsangriffen für IPv4 und IPv6 abgesichert sein.
Alle Reboots, Fehler, Statusänderungen, Login-Fehler und Konfigurationsänderungen sind Extern zu protokollieren. Das macht Sinn, um die Daten auch bootfest auf einem Zusatzsystem zu haben, da ansonsten wichtige Protokolle nach einem Absturz einer Komponente verloren sein könnten. Die Konfiguration muss zudem regelmäßig gesichert werden. Hierzu helfen Hersteller-Tools oder auch Open-Source-Systeme, wie LibreNMS mit dem Plugin Oxidized für die Konfigurationssicherung. Zudem ist eine geeignete Betriebsdokumentation der Systeme inklusive einem Change Log zu erstellen, sodass alle Veränderungen nachvollziehbar bleiben.
Standardanforderungen
In Ergänzung fordert auch dieser Baustein in den Standardanforderungen eine Sicherheitsrichtlinie, die vorschreibt, wie Router und Switches in der jeweiligen Organisation sicher betrieben werden. Daneben braucht es zudem noch eine Konfigurations-Checkliste und eine Prüfung der sicherheitsrelevanten Einstellungen auf Routern und Switches.
Wie für die meisten Verantwortlichen selbstverständlich, wird bei der Beschaffung der Komponenten eine Anforderungsliste mit Kriterien, einer Bewertung und einer Benennung der Anforderungen der Sicherheitsrichtlinie zum jeweiligen Kriterium erstellt.
Zudem muss die Administration bei den Standardanforderungen auch beim Einsatz von verschlüsselten Protokollen über ein gesondertes OOB-Managementnetz erfolgen. Dabei sind jegliche In-Band-Optionen, inklusive unsicherer Managementprotokolle, zu deaktivieren.
Im Nachgang geht es an die Absicherung der übertragenen Nutzdaten. So sind restriktive Filter für ICMP und ICMPv6 einzurichten. Dabei ist zu beachten, dass ICMP neben klassischen ICMP-Echo-Requests (Ping) auch noch zwingend erforderliche Bestandteile wie Destination Unreachable, Fragmentation Needed (IPv4), Packet Too Big (IPv6) oder Time Exceeded enthält. Viele Administratoren neigen dazu, ICMP komplett zu verbieten, was beispielsweise Probleme bei der Path MTU Discovery verursachen kann.
Zudem sollten Router gefälschte, reservierte oder nicht zugewiesene IP-Adressen nicht routen, also eine sogenannte Bogon- und Spoofing-Filterung erfolgen. Beim Einsatz von IPv6 sollte zudem die Erweiterung des Routing Headers Typ 0 erkannt und verhindert werden. Hintergrund ist, dass ein potenzieller Angreifer damit gezielt den Pfad durch das Netzwerk beeinflussen könnte.
Zugriffe auf Router und Switches sollten zudem per statuslosem Paketfilter (Access Control Lists, ACL) auf vertrauenswürdige Quell-IP-Adressen und Ports beschränkt werden. In der Netzinfrastruktur sollte außerdem ein Identitäts- und Berechtigungsmanagement an zentrale Dienste wie einen IdP, einen Verzeichnisdienst oder einen RADIUS- oder TACACS+-Server erfolgen. Die Komponenten sollten zudem Mechanismen zur Erkennung oder Begrenzung ungewöhnlicher Verkehrsvolumina sowie zum Schutz der Control Plane unterstützen, beispielsweise durch Rate Limiting, Control Plane Policing oder Storm Control. Je nach Hersteller und Geräteklasse können darüber hinaus weitergehende DoS- oder DDoS-Schutzfunktionen verfügbar sein.
Dynamische Routing-Protokolle sind durch Authentifizierungen abzusichern und in sicherheitskritischen Zonen, wie DMZs nicht einzusetzen. Switch-Ports müssen zudem vor unberechtigter Nutzung gesichert werden. Das BSI spricht hier noch nicht von einer Netzwerkzugangskontrolle. Da dies erst in den erhöhten Anforderungen folgt, ist hierbei von Port-Security auszugehen, was inzwischen fast alle Hersteller im Programm haben.
Im Bereich der Notfallvorsorge sollten potenzielle Fehler und deren Troubleshooting sowie Behebung benannt werden, was eher unüblich erscheint, aber durchaus sinnvoll ist. Zudem sind die Vorsorgemaßnahmen mit der übergreifenden Notfallvorsorge zu harmonisieren. Darüber hinaus sollten regelmäßige Prüfungen auf Sicherheitsprobleme und Abweichungen von der sicheren Grundkonfiguration erfolgen.
Erhöhter Schutzbedarf
Erst bei den erhöhten Schutzbedarfen findet sich der Einsatz einer Netzwerkzugangskontrolle (NAC) gemäß IEEE 802.1X mit EAP-TLS. EAP-TLS erfordert auf den zentralen Authentifizierungsservern und jedem Client entsprechende Zertifikate für die gegenseitige TLS-Authentifizierung (mTLS). Dabei sollte darauf geachtet werden, dass die veralteten Varianten 802.1X-2001 und 2004 nicht mehr zum Einsatz kommen. Bei vielen Herstellern, etwas von Druckern und Telefonen, finden sich jedoch noch Implementierungen mit 802.1X-2004. Allein die Einführung einer NAC und eine flächendeckende Zertifikatsverteilung kann nicht unerhebliche Aufwände nach sich ziehen. Dieser Punkt wird noch näher in einem weiteren Artikel zum BSI-Baustein zur Netzwerkzugangskontrolle behandelt.
Für die Konfigurationsdateien sollte zudem ein erweiterter Integritätsschutz bereitstehen, um sicherzustellen, dass bei einer eventuellen Wiederherstellung kein alter Datenbestand bereitsteht. Alle Systeme sind zudem hochverfügbar auszulegen, was große monetäre betriebstechnische Auswirkungen hat. Für kritische Anwendungen und Dienste braucht es zudem ein Bandbreitenmanagement mit Applikationserkennung und Priorisierung (QoS) zur Sicherstellung der Dienstgüte. Es dürfen nur Router und Switches mit einer Sicherheitsevaluierung nach Common Criteria und mindestens der Stufe EAL4 eingesetzt werden, sofern der erhöhte Schutzbedarf dies gemäß den Anforderungen des BSI vorsieht.
Die Artikelserie BSI-konformes Netzwerk
Die Artikelserie BSI-konformes Netzwerk
Diese Artikelserie soll einen praxisnahen Einblick in das Vorgehen bei der Implementierung von IT-Grundschutz geben und konkrete Hilfestellungen sowie Szenarien zu den Objekten darstellen. Der erste Teil der Serie behandelt die IT-Grundschutzsystematiken wie die Strukturanalyse, die Schutzbedarfsfeststellung und die Anforderungskategorisierung inklusive Hinweisen zur Einordnung verschiedener Maßnahmen. Der zweite Teil der Serie zeigt, wie Unternehmen Netzwerkarchitektur und Netzmanagement sicher gestalten können – von der Segmentierung bis zum Monitoring. Der dritte Teil befasst sich mit WLAN nach IEEE 802.11. In den folgenden drei Artikeln behandeln wir weitere Themenbereiche.
